CPF na farmácia: O desconto de hoje pode custar a sua privacidade amanhã

Por William Rocha –  Advogado, professor e especialista em Direito Digital, Proteção de Dados e Direito do Consumidor – Colunista convidado.

Uma pergunta aparentemente inofensiva tornou-se rotina nos balcões das farmácias brasileiras: “Qual é o seu CPF?”. Em muitos estabelecimentos, a resposta parece determinar se o consumidor terá acesso a um preço mais baixo pelo medicamento que precisa comprar. Mas o que está realmente por trás dessa solicitação? Por que uma farmácia precisa identificar o consumidor para vender um medicamento? E, principalmente, o que acontece com essas informações depois da compra?

A questão ultrapassa a simples identificação cadastral. Estamos diante de uma discussão que envolve direitos fundamentais, proteção de dados pessoais, relações de consumo e riscos concretos de discriminação econômica e social. O CPF, isoladamente, é um dado pessoal. Entretanto, quando associado ao histórico de medicamentos adquiridos, à frequência das compras e aos tratamentos realizados, pode permitir a construção de perfis detalhados sobre a saúde do consumidor.

Uma pessoa que compra regularmente medicamentos para diabetes, hipertensão, depressão ou outras condições pode, sem perceber, alimentar sistemas capazes de produzir inferências sobre seu estado de saúde, suas vulnerabilidades e suas necessidades futuras.

O problema não é simplesmente informar o CPF. É não saber quem utilizará essas informações,  para as quais finalidades e com quais consequências. O Código de Defesa do Consumidor, especialmente em seus artigos 6º, III e IV, e 39, estabelece direitos à informação adequada e à proteção contra práticas abusivas.

A Lei Geral de Proteção de Dados, por sua vez, exige que o tratamento de informações pessoais observe princípios como finalidade, adequação, necessidade, transparência, segurança e prevenção, previstos no artigo 6º. Isso significa que a farmácia não pode simplesmente coletar o CPF de maneira indiscriminada, sem demonstrar uma finalidade legítima e uma hipótese legal adequada.

É importante esclarecer que a LGPD não proíbe genericamente a solicitação do CPF. Existem situações em que a identificação é necessária, inclusive para cumprimento de obrigações legais, fiscais ou regulatórias. Entretanto, a coleta para programas de descontos e fidelização não pode ser confundida com essas hipóteses.

Também não basta alegar que o consumidor concordou. O consentimento, quando utilizado como fundamento jurídico, deve ser livre, informado, inequívoco e relacionado a finalidades determinadas. No caso de dados pessoais sensíveis, a legislação estabelece exigências ainda mais rigorosas.

Quando o acesso a um medicamento por preço significativamente inferior depende da entrega de informações pessoais, surge uma dúvida legítima: existe verdadeira liberdade de escolha ou uma forma de condicionamento econômico? Talvez o aspecto mais preocupante dessa prática esteja na possibilidade de utilização secundária das informações.

Imagine um banco de dados capaz de identificar consumidores que compram continuamente determinados medicamentos, indicando possíveis doenças crônicas, tratamentos psiquiátricos ou condições clínicas de longa duração. Essas informações, se indevidamente compartilhadas, acessadas ou utilizadas, poderiam interessar a seguradoras, operadoras de planos de saúde, empresas de análise de risco e outros agentes econômicos. O risco não se limita à publicidade direcionada. Envolve a possibilidade de classificação de consumidores, discriminação algorítmica, segmentação econômica e decisões desfavoráveis baseadas em informações sobre sua saúde.

Não se está afirmando que todas as farmácias comercializem esses dados ou que seguradoras estejam efetivamente utilizando tais informações. O que se aponta é a existência de um risco juridicamente relevante, que exige prevenção, fiscalização e transparência.

A própria LGPD, no artigo 11, § 4º, estabelece restrições ao compartilhamento de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, ressalvadas as hipóteses legalmente previstas. O § 5º também contém vedação específica relacionada à seleção de riscos pelas operadoras de planos privados de assistência à saúde.

Portanto, a legislação brasileira não autoriza que informações sobre a saúde dos consumidores sejam livremente transformadas em instrumentos de seleção econômica.A Autoridade Nacional de Proteção de Dados identificou, em estudos sobre o setor farmacêutico, indícios de coleta excessiva, insuficiência de transparência e utilização de dados para finalidades distintas daquelas informadas aos consumidores.

Em fevereiro de 2025, a ANPD anunciou medidas de fiscalização e regularização envolvendo agentes do setor, incluindo investigação sobre a formação de perfis comportamentais com dados pessoais sensíveis para publicidade direcionada.

O Ministério Público Federal também instaurou investigação sobre a exigência do CPF nas farmácias, inclusive quanto à possibilidade de utilização comercial indevida dos históricos de compras.

No Rio de Janeiro, a Resolução Conjunta SMIT/SEDECON nº 1/2025 e a Operação CPF Protegido reforçaram a fiscalização sobre a exigência de dados pessoais e o condicionamento de descontos. Em agosto de 2026, ao comentar decisão judicial envolvendo a rede RaiaDrogasil no Maranhão, destaquei que a proteção de dados precisa alcançar a operação cotidiana dos estabelecimentos, e não permanecer restrita aos documentos e políticas de privacidade.A discussão é especialmente relevante porque o consumidor, muitas vezes, não dispõe de condições reais para compreender as consequências da utilização de seus dados no momento da compra. O modelo econômico baseado na exploração de dados pessoais exige uma reflexão que vai além do comércio farmacêutico.

O consumidor conhece o valor do medicamento, mas raramente conhece o valor econômico das informações que entrega. E esse valor pode ser considerável. Históricos de compras, preferências, frequência de consumo e dados relacionados à saúde podem alimentar sistemas de inteligência artificial e modelos de análise comportamental cada vez mais sofisticados. Por isso, a responsabilidade das empresas não termina na obtenção de um cadastro ou na apresentação de um termo de consentimento. É necessário demonstrar a efetiva necessidade da coleta, esclarecer as finalidades, identificar os destinatários dos dados, estabelecer prazos de conservação e assegurar mecanismos acessíveis para o exercício dos direitos dos titulares.

A farmácia deve ser um ambiente de cuidado e proteção da saúde, não um espaço de exposição indevida da intimidade do consumidor. A pergunta que precisamos fazer não é apenas por que as farmácias solicitam nosso CPF, mas o que poderão fazer com as informações que associam a ele.

Porque o desconto termina no caixa. As consequências do tratamento inadequado dos dados podem acompanhar o consumidor por muitos anos.